Visa 기술 총괄 사장 Rajat Taneja는 VB Transform 2026 무대에서 Anthropic의 Mythos를 자사 결제망에 직접 겨눈 실험을 공개했다. Mythos는 결제 인프라 곳곳에 흩어진 사소한 취약점들을 꿰어 실제로 작동하는 공격 경로를 만들어냈다. Visa는 이 실험을 통제한 테스트 환경 코드를 오픈소스로 공개했다.
이 발표가 주목받는 이유는 기술력 때문만이 아니다. 같은 실험을 해볼 수 있는 기업이 거의 없다는 현실 때문이다.
숫자가 말하는 격리의 공백
VentureBeat Pulse Research가 2026년 7월 116개 기업 보안 담당자를 대상으로 조사한 결과는 이 격차를 수치로 드러낸다. 53%는 이미 에이전트 보안 사고 또는 아슬아슬한 상황을 경험했다. 65%는 런타임에서 에이전트 권한 범위를 강제한다. 그런데 고위험 에이전트를 격리하는 곳은 18%에 불과하다. 권한 강제와 격리를 동시에 갖춘 기업은 8%뿐이다.
권한 강제는 에이전트가 무엇을 할 수 있는지 제한하는 첫 번째 방어선이다. 격리는 그 방어선이 뚫렸을 때 피해 반경을 묶어두는 두 번째 방어선이다. 대부분 기업은 첫 번째만 세우고 두 번째를 건너뛰었다.
신원 관리도 비슷한 구조다. 49%는 에이전트마다 고유한 범위 제한 신원을 부여한다고 답했다. 그러나 63%는 에이전트 집합 어딘가에서 자격증명을 공유한다고 인정했다. 신원을 제대로 분리한 에이전트가 절반이라도, 공유 자격증명이 남아 있는 절반은 여전히 넓은 피해 반경을 갖는다. 신원 관리를 해결한 57개 기업 중 격리까지 구축한 곳은 11개, 즉 5분의 1에 미치지 못한다.
격리 없이 강제만 한 기업, 사고율 58%
권한은 강제하지만 격리하지 않는 기업 53곳 중 31곳이 이미 에이전트 보안 사고를 경험했다. 사고율 58%는 전체 표본 평균 53%보다 5%포인트 높다. 격리 공백 안에 있는 기업이 그 밖에 있는 기업보다 더 자주 맞는다.
Cisco AI 위협 인텔리전스 책임자 Amy Chang은 같은 Transform 패널에서 15개 주요 모델을 대상으로 6,986회 다중 대화 공격을 실행한 결과를 발표했다. 대화 흐름에 맞춰 전략을 바꾸는 적응형 공격자는 최대 88.3%의 성공률을 기록했다. 단발성 레드팀 테스트는 이 패턴을 포착하지 못한다. 적응형 공격자가 가드레일을 뚫으면 그 뒤에 있는 아키텍처 전체가 노출된다. 격리가 없으면 피해는 시스템 전체로 번진다.
VentureBeat는 Meta의 에이전트가 3월 사고 전까지 모든 신원 확인을 통과했던 사례와, CrowdStrike CEO George Kurtz가 RSAC 2026 기조연설에서 공개한 Fortune 50 기업 에이전트가 유효한 자격증명으로 자체 보안 정책을 재작성한 사례를 함께 소개했다. 범위 제한 자격증명을 부여하는 것만으로는 그 자격증명이 오용됐을 때 피해 반경을 묶지 못한다. 샌드박스가 그 역할을 한다.
공급망에서 터진 테라바이트급 유출
격리 공백이 내부 아키텍처 문제라면, LiteLLM 공급망 침해는 외부에서 들어오는 위협이 얼마나 빠르게 확산되는지 보여준다.
보안 업체 CloudSEK와 Hudson Rock은 2026년 8월 AI 개발 도구 LiteLLM의 공급망 침해를 공개했다. 공격은 3월, 취약점 스캐너 Trivy를 먼저 감염시킨 뒤 LiteLLM 버전 1.82.7과 1.82.8로 번졌다. 감염된 패키지는 실행 중인 시스템의 메모리를 긁어 공격자 서버로 전송했다. 이 창이 열려 있던 시간은 40분이었다.
40분 동안 434,000개 CI/CD 파이프라인의 자격증명이 노출됐다. Hudson Rock이 분석한 파일 크기는 195TB다. 클라우드 키, 저장소 토큰, SSH 키, Kubernetes 시크릿, AI 공급자 키가 포함됐다. 유출 기업에는 NVIDIA, Amazon Web Services, Samsung Electronics, Salesforce, Cisco Systems, Siemens, S&P Global, London Stock Exchange Group 등이 포함된다.
Hudson Rock 공동창업자 겸 CTO Alon Gal은 "LiteLLM 의존성이 해킹된 약 40분의 창이 430,000건 이상의 사례에서 수백만 개의 시크릿을 수집하게 했다"며 "이 규모는 사이버보안 산업이 요구하는 대응 유형을 완전히 새로운 세계로 밀어넣는다"고 밝혔다.
독립 보안 연구자 Kevin Beaumont는 "AI를 서둘러 출시하려는 조직과 허술한 DevOps 보안이 결합한 거대한 공급망 침해"라고 평가했다. Trivy 개발팀이 자동화 토큰을 교체했지만 20일 동안 완전히 폐기하지 않아 공격자에게 3주 가까운 악성 코드 삽입 기회를 준 것도 이 사건의 교훈으로 꼽힌다.
만족도는 높고, 도구는 바꾼다
기업들은 현재 보안 도구에 5점 만점에 4.29를 매겼다. 시리즈 최고치다. 동시에 74%는 12개월 안에 도구를 교체할 계획이라고 답했다. 6월의 59%에서 크게 뛰었다.
이 역설은 수치 하나로 풀린다. 92%의 기업이 주요 보안 계층으로 하이퍼스케일러 또는 모델 공급자 네이티브 도구를 꼽는다. OpenAI 가드레일 44%, Microsoft Azure 42%, Anthropic 관리형 에이전트 통제 37%, Google Cloud 31% 순이다. 4.29는 공급자 가드레일을 켜는 편의성에 대한 점수다. 같은 응답자 53%가 이미 겪은 사고를 막는 효과성에 대한 점수가 아니다.
전문 보안 벤더는 단 자릿수에 머문다. Cloudflare 11%, Cisco 9%가 선두다. 에이전트 신원 관리 전문 도구는 더 작다. Microsoft Entra Agent ID 7%, Okta for AI Agents 3%, 런타임 샌드박스 도구 3%다. 사고 데이터가 가장 직접적으로 지목하는 두 통제, 신원 관리와 격리가 구매 계획에서도 가장 작은 비중을 차지한다.
AI 에이전트 도입이 빠른 조직이 직면할 현실
LiteLLM 사례는 금융·공공 등 AI 에이전트 도입에 속도를 내는 조직일수록 공급망 침해 위험에 노출될 가능성이 높아진다는 점을 시사한다. 오픈소스 AI 개발 도구를 통한 공급망 침해는 조직 내부 보안 설계와 무관하게 자격증명 전체를 노출시킬 수 있기 때문이다.
권한 강제만으로 충분하다는 가정은 이미 데이터로 반박됐다. 격리 없이 강제만 한 기업의 사고율이 전체 평균보다 높다는 사실은, 첫 번째 방어선을 세우는 것이 곧 안전을 의미하지 않는다는 뜻이다. 도입 초기에 격리 아키텍처와 공급망 검증 체계를 함께 설계해야 하는 이유다.
VentureBeat의 7개월치 데이터가 가리키는 방향은 하나다. 에이전트 배포는 격리 통제보다 빠르게 진행됐고, 그 격차는 줄어들지 않고 있다. 다음 파동이 답할 질문은 기업들이 격리와 관리형 신원을 의도적으로 구축하느냐, 아니면 전파되는 사고가 그것을 강제하느냐다.
